CVE-2025-67713
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Miniflux 2 to open source'owy czytnik kanałów. Wersje 2.2.14 i wcześniejsze traktują redirect_url jako bezpieczny, gdy url.Parse(...).IsAbs() jest fałszywe, co umożliwia ataki phishingowe po zalogowaniu. Protokołowo-względne adresy URL, takie jak //ikotaslabs.com, mają pusty schemat i przechodzą tę kontrolę, umożliwiając przekierowanie po zalogowaniu do witryn kontrolowanych przez atakującego. Problem został naprawiony w wersji 2.2.15.
Ocena ryzyka
Atakujący może przekierować użytkownika po zalogowaniu na złośliwą stronę, co może prowadzić do kradzieży danych uwierzytelniających lub innych ataków phishingowych. Może to naruszyć bezpieczeństwo kont użytkowników.
Rekomendacja
Zaktualizuj Miniflux do wersji 2.2.15 lub nowszej, która naprawia tę podatność. Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie zaufania do przekierowań lub wdrożenie dodatkowych kontroli.
Inne podatności w Miniflux
Zobacz wszystkie- CVE-2026-108735Średnie
Miniflux w wersjach od 2.3.0 do 2.3.3 zawiera podatność server-side request forgery, która pozwala uwierzytelnionym użytkownikom dotrzeć do adresów wewnętrznych poprzez ustawienie proxy_url kanału. Atakujący może wskazać proxy_url na loopback lub hosty wewnętrzne, omijając kontrole FETCHER_ALLOW_PRIVATE_NETWORKS, aby sondować wewnętrzne porty i wysyłać żądania w stylu proxy do usług wewnętrznych.
- CVE-2026-55185Średnie
Miniflux 2 przed wersją 2.3.1 zawiera podatność polegającą na akceptowaniu celów przekierowań zawierających backslashe, które przeglądarka normalizuje do forward slashy. Nieuwierzytelniony atakujący może wykorzystać to w procesie logowania, aby przekierować ofiarę na zewnętrzną, kontrolowaną przez atakującego stronę, omijając sprawdzenia ścieżki względnej i hosta.
Oryginalny opis (angielski, źródło NVD)
Miniflux 2 is an open source feed reader. Versions 2.2.14 and below treat redirect_url as safe when url.Parse(...).IsAbs() is false, enabling phishing flows after login. Protocol-relative URLs like //ikotaslabs.com have an empty scheme and pass that check, allowing post-login redirects to attacker-controlled sites. This issue is fixed in version 2.2.15.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS